Formal Directiva (UE) 2022/2555, aceasta înlocuiește directiva NIS inițială și extinde sectoarele și organizațiile care trebuie să gestioneze riscul cibernetic, să raporteze incidente semnificative, să securizeze lanțurile de aprovizionare și să stabilească responsabilitatea managementului.
NIS2 este o directivă, așa că organizațiile respectă legea națională care o transpune în fiecare stat membru relevant — nu un singur set de reguli UE care se aplică de la sine, în izolare. Termenul limită pentru statele membre de a adopta și publica măsurile a fost 17 octombrie 2024. Domeniul de aplicare, supravegherea, înregistrarea, autoritățile, procedurile și sancțiunile trebuie prin urmare verificate în implementarea națională curentă, în special pentru organizațiile care operează în mai multe țări.
Puncte esențiale
Cine poate intra în domeniuEntitățile mijlocii și mari din sectoarele enumerate în directivă constituie populația principală, împărțită în entități esențiale și importante. Anumiți furnizori pot fi acoperiți indiferent de dimensiune, iar autoritățile naționale pot identifica entități suplimentare. Sectorul, serviciul, sediul, dimensiunea și regulile naționale contează toate.
Măsuri de gestionare a riscurilorArticolul 21 cere măsuri tehnice, operaționale și organizaționale adecvate și proporționale. Domeniile enumerate includ gestionarea incidentelor; continuitatea afacerii și gestionarea crizelor; securitatea lanțului de aprovizionare; achiziția, dezvoltarea și mentenanța securizate; tratarea și divulgarea vulnerabilităților; evaluarea eficacității; igiena și instruirea cibernetică; criptografia; controlul accesului și gestionarea activelor; și, acolo unde este cazul, MFA sau autentificarea continuă și comunicații sigure.
Responsabilitatea managementuluiOrganele de conducere trebuie să aprobe măsurile de gestionare a riscurilor de securitate cibernetică, să supravegheze implementarea și pot fi trase la răspundere în temeiul legislației naționale. Membrii acelor organe trebuie să urmeze instruire, iar organizațiile trebuie să ofere regulat instruire relevantă angajaților.
Raportarea incidentelorPentru un incident semnificativ, articolul 23 stabilește un proces etapizat: o avertizare timpurie fără întârziere nejustificată și în cel mult 24 de ore de la luarea la cunoștință; o notificare de incident fără întârziere nejustificată și în cel mult 72 de ore de la luarea la cunoștință — sau în 24 de ore pentru un furnizor de servicii de încredere când incidentul semnificativ afectează furnizarea serviciilor sale de încredere; rapoarte intermediare la cerere; și un raport final în cel mult o lună după notificarea incidentului. Un raport de progres poate înlocui raportul final cât timp incidentul este în curs.
Lanțul de aprovizionareNIS2 face din securitatea furnizorilor direcți și a prestatorilor de servicii o parte explicită a gestionării riscurilor. Aceasta nu înseamnă că fiecare furnizor trebuie să îndeplinească controale identice; organizațiile au nevoie de o abordare bazată pe risc, care ține cont de vulnerabilități, dependență și calitatea și reziliența produselor și serviciilor.
Supraveghere și sancțiuniEntitățile esențiale și importante fac obiectul unor abordări de supraveghere diferite, dar ambele pot fi supuse aplicării legii. Directiva stabilește cadre de amenzi administrative maxime pe care legislațiile naționale trebuie să le implementeze, alături de posibile instrucțiuni obligatorii și alte măsuri.
Limitare importantăNIS2 stabilește un cadru UE, dar un articol de glosar nu poate determina dacă o anumită entitate juridică intră în domeniu sau poate satisface cerințele de implementare națională. Clasificarea și obligațiile depind de entitate, serviciu, jurisdicție și legea de transpunere aplicabilă.